django为用户实现防止跨站请求伪造的功能，通过中间件 django.middleware.csrf.CsrfViewMiddleware来完成。

1.django中常用的中间件?

- process_request
- process_view
- process_response
- process_exception
- process_render_template

2. 使用中间件做过什么？

- 权限
- 用户登录验证
- django的csrf是如何实现？
process_view方法
- 检查视图是否被 @csrf_exempt （免除csrf认证）
- 去请求体或cookie中获取token

3,django中设置防跨站请求伪造功能有分为全局和局部;

3.1，全局设置，但是对某一个函数不进行csrf认证；

settings中设置全局应用；

MIDDLEWARE = [

    'django.middleware.security.SecurityMiddleware',

    'django.contrib.sessions.middleware.SessionMiddleware',

    'django.middleware.common.CommonMiddleware',

    'django.middleware.csrf.CsrfViewMiddleware',

    'django.contrib.auth.middleware.AuthenticationMiddleware',

    'django.contrib.messages.middleware.MessageMiddleware',

    'django.middleware.clickjacking.XFrameOptionsMiddleware',

]

　在视图函数中加上装饰器对函数进行去除验证；

from django.views.decorators.csrf import csrf_exempt

@csrf_exempt

def users(request):

    user_list = ['alex','oldboy']

    return HttpResponse(json.dumps((user_list)))

　　3.2，全局不设置，但是对某一个函数进行csrf认证；

全局中注释掉；

MIDDLEWARE = [

    'django.middleware.security.SecurityMiddleware',

    'django.contrib.sessions.middleware.SessionMiddleware',

    'django.middleware.common.CommonMiddleware',

    # 'django.middleware.csrf.CsrfViewMiddleware',

    'django.contrib.auth.middleware.AuthenticationMiddleware',

    'django.contrib.messages.middleware.MessageMiddleware',

    'django.middleware.clickjacking.XFrameOptionsMiddleware',

]

视图中加上验证；

from django.views.decorators.csrf import csrf_exempt,csrf_protect

@csrf_protect

def users(request):

    user_list = ['alex','oldboy']

    return HttpResponse(json.dumps((user_list)))


总结：csrf使用django的中间件来实现，实际上是在process_view方法中实现的，而且是在views函数被执行之前进行的验证；当用户的请求到达视图函数之前会先检查视图函数在以上两种情况下是否需要通过或者免除csrf验证，然后再进行view函数的执行；

1次来访问的时候(get方法)，先拿到字符串；下次再来访问的时候（post方法）也必须带着这一串字符串才能成功。

CSRF是指提交数据的时候必须通过验证。

cookie和session是关于用户名/密码保存的。

CSRF字符串不仅在表单里面有了，在cookie里面也有了。

当用form表单提交的时候，把随机字符串和cookie值都发过去了。

如果用Ajax往后台发数据的时候，只需要把cookie值拿到，放到请求头里面发过去就可以了。

加cookie值的Ajax请求过程：

带上随机字符串的话， 才能登录成功。从cookie里面先把随机字符串获取到。获取方法如下：$.cookie('csrftoken')，具体方法如代码所示

 <!DOCTYPE html>

 <html lang="en">

 <head>

     <meta charset="UTF-8">

     <title>Title</title>

 </head>

 <body>

 <form action="/login/" method="post">

     {% csrf_token %}

     <input type="text" name="user" placeholder="user"/>

     <input type="password" name="pwd" placeholder="pwd"/>

     <input type="checkbox" name="rmb" value="2">10秒免登陆

     <input type="submit" value="提交"/>

     <input type="button" id="but1" value="按钮"/>

     <input type="button" id="but2" value="按钮"/>

 </form>

 <script src="/static/jquery-1.12.4.js"></script>

 <script src="/static/jquery.cookie.js"></script>

 <script>

     $(function () {

         $.ajaxSetup({

             beforeSend: function (xhr, settings) {

                 xhr.setRequestHeader('X-CSRFtoken', $.cookie('csrftoken'))

             }

         });

         $('#but1').click(function () {

             $.ajax({

                 url: '/login/',

                 type: 'POST',

                 data: {'user': 'root', 'pwd': '123'},

                 success: function (arg) {

                 }

             })

         })

     })

 </script>

 </body>

 </html>

不加没有加cookie值的Ajax请求过程：报错通不过CSRF验证，报403错误

但是后台需要通过key去获取这个值，那么这个值对应的key是什么呢？通过打印settings.CSRF_HEADER_NAME可知，

key是HTTP_X_CSRFTOKEN, HTTP_ 是django自动给加上的，所以我们发送的时候，只需要把key设置成 X_CSRFTOKEN就可以了。

由于请求头里面不能出现下划线，所以最终设置的时候应该写成 X-CSRFTOKEN。

理论上我们把请求头设置成X_CSRFTOKEN 就可以了。

但是由于Django有要求，请求头里面不能出现下划线，所以最终我们把请求头设置成X-CSRFTOKEN 的样子。

按照官网推荐，建议写成

X-CSRFtoken。

 headers:{'X-CSRFtoken':$.cookie('csrftoken')},

Form表单提交与Ajax方法提交的不同之处在于，去不同的地方拿csrf_token

在 Ajax中写headers太麻烦了，可以用setup 对整个页面中所有的Ajax操作做一个配置。

表示在发送ajax之前，会先执行一下那个函数。

xhr是XMLHttpRequest 对象，所有的ajax操作底层用的都是它。

而对于django中设置防跨站请求伪造功能有分为全局和局部。

全局：

　　中间件 django.middleware.csrf.CsrfViewMiddleware

局部：

注：from django.views.decorators.csrf import csrf_exempt,csrf_protect

  • @csrf_protect，为当前函数强制设置防跨站请求伪造功能，即便settings中没有设置全局中间件。

  • @csrf_exempt，取消当前函数防跨站请求伪造功能，即便settings中设置了全局中间件。

1.中间件，在其它程序中，有的叫管道，有的叫http handler。下面是原生的中间件

写中间件，新建文件夹Middle,新建m1.py

在setting里注册中间件，1个类就是1个中间件

做测试，看是否所有的请求过来时，都必须一一经过中间件。(写了一个test函数)

当想拿返回值的时候，可以通过response函数。request里面存放的是客户端的所有数据，可以有request.GET,request.POST,request.method等方法。

通过第一个中间件的时候，就可以判断一下，是否携带了请求头（CSRFtoken），如果没有带请求头的话，在第1步就可以终止了。

完善我们自己写的中间件。其实中间件就是一个普通的类。

整个请求的流程如下：1.10版本，到哪个中间件发生了阻断，就从哪个中间件返回。

注意process_request, process_response 2个函数名是写死的，不能变。

解析process_view函数的意义

def process_view(self,request,view_func,view_func_args,view_func_kwargs):
view_func：指的就是URL中对应的那个函数，在这里指test函数
view_func_args：对应test函数中接收的参数，对应的URL如下：url(r'^test/(\d+)$', views.test), def test(request,nid)
view_func_kwargs：对应test函数中接收的字典，对应的URL如下：url(r'^test/(?P<nid>\d+)$', views.test), def test(request,nid)

def process_exception(self,request,exception): 这个函数一般情况下不执行，只有在出错时才执行。指的是异常信息

def process_template_response (self,request,response):  默认情况下也不执行，

如果views中的函数返回的对象中，具有render方法，那这个函数就会执行了。

process_Request, 发出请求

process_view, 通过以后，就会达到view函数

process_response, 开始返回。

csrf 跨站请求伪造相关以及django的中间件的更多相关文章

  1. Web框架之Django_09 重要组件（Django中间件、csrf跨站请求伪造）

    摘要 Django中间件 csrf跨站请求伪造 一.Django中间件: 什么是中间件? 官方的说法:中间件是一个用来处理Django的请求和响应的框架级别的钩子.它是一个轻量.低级别的插件系统,用于 ...

  2. Web框架之Django重要组件（Django中间件、csrf跨站请求伪造）

    Web框架之Django_09 重要组件(Django中间件.csrf跨站请求伪造)   摘要 Django中间件 csrf跨站请求伪造 一.Django中间件: 什么是中间件? 官方的说法:中间件是 ...

  3. 第三百一十五节，Django框架，CSRF跨站请求伪造

    第三百一十五节,Django框架,CSRF跨站请求伪造  全局CSRF 如果要启用防止CSRF跨站请求伪造,就需要在中间件开启CSRF #中间件 MIDDLEWARE = [ 'django.midd ...

  4. 十三 Django框架，CSRF跨站请求伪造

     全局CSRF 如果要启用防止CSRF跨站请求伪造,就需要在中间件开启CSRF #中间件 MIDDLEWARE = [ 'django.middleware.security.SecurityMidd ...

  5. python 全栈开发，Day87(ajax登录示例,CSRF跨站请求伪造,Django的中间件,自定义分页)

    一.ajax登录示例 新建项目login_ajax 修改urls.py,增加路径 from app01 import views urlpatterns = [ path('admin/', admi ...

  6. django上课笔记3-ORM补充-CSRF (跨站请求伪造)

    一.ORM补充 ORM操作三大难点: 正向操作反向操作连表 其它基本操作(包含F Q extra) 性能相关的操作 class UserInfo(models.Model): uid = models ...

  7. [Django高级之中间件、csrf跨站请求伪造]

    [Django高级之中间件.csrf跨站请求伪造] Django中间件 什么是中间件? Middleware is a framework of hooks into Django's request ...

  8. Django之CSRF 跨站请求伪造

    一.简介 1.点我了解什么是跨站请求伪造 2.django为用户实现防止跨站请求伪造的功能,通过中间件 django.middleware.csrf.CsrfViewMiddleware 来完成.而对 ...

  9. ajax向Django前后端提交请求和CSRF跨站请求伪造

    1.ajax登录示例 urls.py from django.conf.urls import url from django.contrib import admin from app01 impo ...

随机推荐

  1. Spark的Streaming和Spark的SQL简单入门学习

    1.Spark Streaming是什么? a.Spark Streaming是什么? Spark Streaming类似于Apache Storm,用于流式数据的处理.根据其官方文档介绍,Spark ...

  2. Ubuntu 16.04 卸载Postgresql

    首先确保postgresql是否在运行,在命令窗口输入 netstat -nlt han@han-OptiPlex-:~/project/0_ng_practice/ng-test$ netstat ...

  3. （3）.NET CORE微服务 Micro-Service ---- Consul服务治理

    Consul是注册中心,服务提供者.服务提供者.服务消费者等都要注册到Consul中,这样就可以实现服务提供者.服务消费者的隔离. 除了Consul之外,还有Eureka.Zookeeper等类似软件 ...

  4. pkusc2018数学题

     题解: 还是很水的 复制个题面过来 好吧我不会复制 https://www.cnblogs.com/skylee03/p/9127130.html 题目链接 第一题是个傻逼题 初中数学题随便凑凑 ( ...

  5. alpha冲刺5/10

    目录 摘要 团队部分 个人部分 摘要 队名:小白吃 组长博客:hjj 作业博客:冲刺5 团队部分 后敬甲(组长) 过去两天完成了哪些任务 文字描述 最近事情有点多,只是跟进了下进度,写了写博客 接下来 ...

  6. 51Nod1553 周期串查询 字符串 哈希 线段树

    原文链接https://www.cnblogs.com/zhouzhendong/p/51Nod1553.html 题目传送门 - 51Nod1553 题意 有一个串只包含数字字符.串的长度为n,下标 ...

  7. netty04（重点来了、指定某个客户端发信息或者群发）小声嘀咕~~我也是从零开始学得、、、想学习netty的又不知道怎么下手的童鞋们~~

    还是和上几篇一样,先给出前面笔记的连接,有没看的可以去看看再来! netty01   . netty02  .netty03 看到这里.你基本上可以使用netty接受信息和根据对应的信息返回信息了 接 ...

  8. 009 spring boot中文件的上传与下载

    一:任务 1.任务 文件的上传 文件的下载 二:文件的上传 1.新建一个对象 FileInfo.java package com.cao.dto; public class FileInfo { pr ...

  9. Mybatis下collections使用pageHelper进行分页

    pageHelper在对mybatis一对多分页时造成查询总页数结果不对的情况. 可以做出如下修改: service层: public CommonResult worksList(String us ...

  10. Leading and Trailing（巧妙利用log解决次方问题）

    Sample Input 5 123456 1 123456 2 2 31 2 32 29 8751919 Sample Output Case 1: 123 456 Case 2: 152 936 ...